У Pwn2Own 2020 збільшено виплати за злом Tesla та повернуто номінацію за злом Ubuntu

Організатори ініціативи Ініціатива нульового дня (ЗДІ) анонсували захід Pwn2Own 2020, учасникам якого пропонується продемонструвати робочі техніки експлуатації раніше невідомих уразливостей. Захід відбудеться з 18 по 20 березня у рамках конференції CanSecWest у Ванкувері. Загальний розмір призового фонду в 2020 році складе більше 4 млн доларів США, не рахуючи новий автомобіль Tesla Model 3 як приз.

Як і минулого року, найбільш суттєві винагороди призначені за злом інформаційних систем автомобіля Tesla Model 3. Найвища нагорода в 500 тисяч доларів призначена на створення багаторівневого експлоїту, що дозволяє домогтися виконання свого коду відразу на рівні декількох автомобільних підсистем (початкове проникнення через Wi-Fi, Bluetooth або інформаційно-розважальною підсистемою та отриманням постійного доступу до VCSEC, шлюзу або автопілота). Крім того, призначено додаткові призи за root-доступ до інформаційно-розважальної підсистеми ($50 000), контроль за шиною CAN Bus ($100 000) та root-доступ до оточення автопілота ($50 000), які збільшують максимальну виплату до 700 тисяч доларів.

За створення експлоїту, що обходить захист двох підсистем, призначено винагороди в 250, 300 і 400 тисяч доларів. Також призначено 8 призів розміром від 35 до 200 тисяч доларів за отримання контролю за шиною CAN Bus, залишення шкідливого програмного забезпечення активним після перезапуску, проведення атак на модем, тюнер, Wi-Fi, Bluetooth, інформаційно-розважальну систему, автопілот та функцію використання смартфона в ролі ключа. Сумарний розмір призового фонду в категоріях, пов'язаних із Tesla, становить 2 мільйони 490 тисяч доларів.

Серед інших номінацій у Pwn2Own 2020:

• Злом браузерів Chrome, Firefox, Safari та Microsoft Edge (як на базі EDGEHTML, так і з двигуном Chromium);
  
• Злом систем віртуалізації Oracle VirtualBox, VMware Workstation та Microsoft Hyper-V Client;
  
• Злом Microsoft Office та Adobe Reader;
  
• Злом Microsoft Windows RDP;
  
• Створення експлоїту для локального підвищення привілеїв у Ubuntu и Windows.
  

Як і минулого року до призових номінацій не увійшли зломи ядра Linux та більшості відкритих проектів (nginx, OpenSSL, Apache httpd), злом яких у минулі роки обмежився демонстрацією у 2017 році 0-day вразливості в ядрі Linux, що дозволяє локальному користувачеві підняти свої привілеї у системі. Тим не менш, повернуто номінацію за локальне підвищення привілеїв у Ubuntu.

Джерело: opennet.ru